Pare-feu kerio provoque arrêt Runetime

Salutations !

J'ai finalement réussi à trouver le temps de mener le combat.

J'ai suivi les étapes que tu m'as indiqué.

Je n'ai pas été capable de copier le rapport du scan de AVG.Il me proposait d'exporter le résultat mais sous forme ".prn" ou autre extensions bizz.

J'ai (à nouveau) détecté et supprimé le virus suivant
Trojan IRC/BackDoor.SdBot2.KWD

Il était dans le fichier suivant

Malgré tout ce que je fais, il revient contamment.

Une réinfection ?
Où il est dormant qqpart sur mon pc ?

Merci à nouveau de ton aide.

Pierre

C:/WINDOWS/system32/.exe

Voila c'est fait.

Pour ce qui est des lignes à supprimer avec le pare-feu ... j'avoue être un peu perdu.
Sous l'onglet "sécurité du réseau" il y a 4 autres "onglets"
Parles-tu de "application", "zone sécurisée" ou d'un des 2 autres ?

Dans zone sécurisé, j'ai 2 connexion dont une identifiée Loopback 127.0.0.1 (inscrit N/A sous "matériel" et la seconde identifiée "connexion au réseau local"

Est-ce normal ? Laquelle supprimer ?


voici le log

ComboFix 06.11.27 - Running from: "C:\Documents and Settings\Pierre\Bureau"

((((((((((((((((((((((((((((((( Files Created from 2006-11-17 to 2006-12-17 ))))))))))))))))))))))))))))))))))


2006-12-17 18:55 <REP> dr-h----- C:\Documents and Settings\Pierre\Recent
2006-12-17 18:24 <REP> d-------- C:\!KillBox
2006-12-17 17:59 <REP> d-------- C:\Program Files\CCleaner
2006-12-16 11:22 <REP> d-a------ C:\Documents and Settings\All Users\Application Data\TEMP
2006-12-15 16:27 <REP> d-------- C:\Program Files\Sunbelt Software
2006-12-10 16:51 0 --a------ C:\WINDOWS\system32\winds.exe
2006-12-07 21:30 <REP> d-------- C:\WINDOWS\Prefetch
2006-12-07 21:17 173,056 --a------ C:\WINDOWS\system32\LXAESUI.DLL
2006-12-07 21:09 96,256 --a------ C:\WINDOWS\system32\wuaueng.dll
2006-12-07 21:09 114,688 --a------ C:\WINDOWS\system32\wuauclt.exe
2006-12-07 21:07 23,070 --a------ C:\WINDOWS\system32\drivers\RTL8139.sys
2006-12-07 21:01 24,661 --a------ C:\WINDOWS\system32\spxcoins.dll
2006-12-07 21:01 13,312 --a------ C:\WINDOWS\system32\irclass.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-12-17 15:34 -------- d-------- C:\Program Files\Spybot - Search & Destroy
2006-12-16 11:22 -------- d-------- C:\Program Files\Spyware Doctor
2006-12-09 08:14 -------- d-------- C:\Program Files\Windows Media Player
2006-12-08 15:56 -------- d-------- C:\Program Files\Java
2006-12-07 21:34 -------- d--h----- C:\Program Files\WindowsUpdate
2006-12-07 21:09 -------- d-------- C:\Program Files\Messenger
2006-11-11 11:52 -------- d-------- C:\Program Files\EditHexa
2006-11-05 20:46 -------- d-------- C:\Program Files\ToniArts
2006-11-01 18:59 278528 --a------ C:\WINDOWS\system32\livesnth.dll


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"ctfmon.exe"="C:\\WINDOWS\\System32\\ctfmon.exe"
"AdobeReaderPro"="SMS5.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"AdaptecDirectCD"="C:\\Program Files\\Adaptec\\Easy CD Creator 5\\DirectCD\\DirectCD.exe"
"iTunesHelper"="\"C:\\Program Files\\iTunes\\iTunesHelper.exe\""
"QuickTime Task"="\"C:\\Program Files\\QuickTime\\qttask.exe\" -atboottime"
"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.5.0_09\\bin\\jusched.exe\""
"AVG7_CC"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgcc.exe /STARTUP"
"TkBellExe"="\"C:\\Program Files\\Fichiers communs\\Real\\Update_OB\\realsched.exe\" -osboot"
"IMJPMIG8.1"="C:\\WINDOWS\\IME\\imjp8_1\\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32"
"MSPY2002"="C:\\WINDOWS\\System32\\IME\\PINTLGNT\\ImScInst.exe /SYNC"
"PHIME2002ASync"="C:\\WINDOWS\\System32\\IME\\TINTLGNT\\TINTSETP.EXE /SYNC"
"PHIME2002A"="C:\\WINDOWS\\System32\\IME\\TINTLGNT\\TINTSETP.EXE /IMEName"
"AdobeReaderPro"="SMS5.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices]
"AdobeReaderPro"="SMS5.exe"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,cc,00,00,00,00,00,00,00,34,03,00,00,de,02,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"
"Spyware Doctor"=""
"AVG7_Run"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgw.exe /RUNONCE"
"AdobeReaderPro"="SMS5.exe"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"
"Spyware Doctor"=""
"AVG7_Run"="C:\\PROGRA~1\\Grisoft\\AVGFRE~1\\avgw.exe /RUNONCE"
"AdobeReaderPro"="SMS5.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Pré-chargeur Browseui"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Démon de cache des catégories de composant"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091
"CDRAutoRun"=dword:00000000

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091
"CDRAutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, zwebauth.dll"

Completion time: 06-12-17 21:16:40.21
C:\ComboFix.txt ... 06-12-17 21:16


merci encore

Pierre
Merci

Bon,
les deux fichiers sont supprimés.

J'ai commencé le scan avec Bitedefender mais après un début "rapide" il semble avoir bloqué sur qqchose et progressait très lentement.
Le temps restant est passé progressivement jusqu'à 2h30 et ça continuait de monter...?
J'ai donc stopper en attendant de t'en parler.
Pour ce quie est du pare-feu, j'ai une dizaine d'application identifiée sous cet onglet (AVG, Internet Explorer et plusisuer microsoft activesync , un win logon )

Est de la cochonnerie ?
Est-ce que je les supprime tous ?
et surtout est-ce que le fait de les supprimer va empêcher mon pc de se connecter au net par après ?

p.s. Je remarque à l'occasion (grace au pare-feu) qu j'ai un "traffic entrant de 1 a 3 Ko/sec même si je ne suis pas en train de naviguer ?

Est-ce un signe que je suis en train de me faire pirater ?

Merci
Désolé si j'ai bcp de questions mais j'essais de comprendre...

Salut !

J'ai posté une réponse mais je crois que je me la suis envoyée...
Au cas où tu ne l'aurais reçue, elle au forum message no.12

Merci

Pierre

Voilà qui est fait.

Rien à signaler.

Bilan des opérations :

Mon pare-feu ne fait plus planter Runtime.
Je ne semble plus infecté par Sasser ou un autre du genre qui me donnait une minute pour sauvegarder et qui rebootait
Mon AVG ne détecte plus rien (ni la myriade de logiciels de détection que j'ai téléchargé et qu j'utiliserai régulièrement)

Je voudrais remercier boulepate pour sa gentillesse et sa patience.
Un forum comme celui-ci est tout à fait extraordinaire.

Merci à tous ceux qui le rendent possible.

Au revoir en souhaitant que mon problème soit réellement résolu.

Only time will tell !

Pierre